L'échelle de souveraineté IA : où vont vraiment vos données ?
L'échelle de souveraineté IA classe toute solution d'intelligence artificielle selon deux questions : où vont vos données, et qui détient la machine qui les traite ? Quatre échelons : SaaS cloud, cloud « souverain », auto-hébergé, 100 % local. La règle est simple : si vos données sortent de vos murs, ce n'est pas du local.
Cet article est le complément du guide de l'IA locale : il détaille la grille de lecture que j'utilise en mission pour situer n'importe quelle offre du marché — y compris la mienne — en dix secondes.
Pourquoi le mot « souverain » ne suffit plus ?
« IA souveraine » est en train de devenir ce que « écologique » a été pour la lessive : un mot que tout le monde s'attribue. L'État français pousse les solutions souveraines pour les PME, les agences s'affichent souveraines, les hébergeurs aussi — et dans la plupart des cas, cela signifie simplement que les serveurs sont en France. C'est un vrai progrès par rapport à un SaaS américain. Mais vos documents partent quand même de chez vous, sont traités par les machines d'un tiers, sous les conditions de ce tiers.
Pour y voir clair, il n'y a besoin ni de certification ni de jargon. Deux questions suffisent : où vont mes données ? et qui détient la machine qui les traite ? Les réponses possibles dessinent quatre échelons — et chaque solution du marché se range dans l'un d'eux, sans exception.
Les quatre échelons, en détail
| Échelon | Où vont vos données | Qui détient la machine | Secret professionnel |
|---|---|---|---|
| 1 — SaaS cloud (ChatGPT, Gemini…) |
Serveurs du fournisseur, souvent hors UE | Le fournisseur | Incompatible |
| 2 — Cloud « souverain » | Serveurs d'un prestataire français ou européen | Le prestataire | Inconfortable |
| 3 — Auto-hébergé | Un serveur loué que vous administrez | Louée, mais sous votre seul contrôle logiciel | Défendable, selon les données |
| 4 — 100 % local | Nulle part — elles restent dans vos murs | Vous, physiquement | Compatible par construction |
Échelon 1 — Le SaaS cloud
ChatGPT et ses équivalents. Les meilleurs modèles du monde, une ergonomie impeccable, un coût d'entrée nul — c'est l'échelon parfait pour tout ce qui n'est pas confidentiel, et je l'utilise moi-même pour la veille ou les brouillons génériques. Le problème commence avec les données de vos clients : elles partent sur des serveurs que personne ne peut auditer pour vous, souvent hors Union européenne — ce qui se passe vraiment quand on colle un dossier client dans ChatGPT.
Échelon 2 — Le cloud « souverain »
Même logique de service, mais chez un prestataire français ou européen, parfois certifié. Juridiquement plus propre, géographiquement plus proche — et c'est souvent ce que recouvre le marketing de la « souveraineté ». Gardez une chose en tête : vos documents sortent toujours de vos murs, et votre accès dépend toujours d'un contrat, d'un prix et d'une continuité de service que vous ne maîtrisez pas.
Échelon 3 — L'auto-hébergé
Le basculement réel commence ici : vous ne consommez plus un service, vous opérez vos propres outils sur un serveur loué que vous seul administrez. Les logiciels, les modèles, les accès, les sauvegardes : tout est sous votre contrôle. La machine reste physiquement dans le datacenter d'un hébergeur — c'est la limite de l'échelon, et c'est pourquoi il en existe un quatrième.
Échelon 4 — Le 100 % local
Les modèles tournent sur une machine dans vos locaux. Rien ne sort. Le test est enfantin : coupez Internet, l'IA répond encore. C'est le seul échelon où la confidentialité ne repose ni sur un contrat, ni sur une promesse, ni sur une certification — mais sur la physique. Pour les professions tenues au secret, c'est l'échelon de référence ; le guide de l'IA locale détaille ce qu'il permet, ce qu'il coûte et comment s'y préparer.
Comment choisir votre échelon ?
Trois critères, dans cet ordre. La sensibilité de vos données d'abord : secret professionnel, données de santé, dossiers clients nominatifs → visez les échelons 3-4, le reste est un compromis que vous devrez pouvoir justifier. Votre dépendance acceptable ensuite : si la disparition ou le triplement de prix d'un outil cloud mettrait votre activité en difficulté, vous êtes trop bas sur l'échelle. Votre volume d'usage enfin : plus l'IA travaille pour vous au quotidien, plus l'économie de l'abonnement bascule en faveur d'une installation que vous possédez.
Et une règle qui protège de tous les dogmes : le 100 % local est une destination, pas un prérequis. On peut commencer à l'échelon 2 ou 3 et monter quand le besoin se confirme. L'inverse — s'équiper lourdement avant d'avoir validé l'usage — est la première cause de déception que je rencontre.
Où se situe NovaDigital sur sa propre échelle ?
Question légitime — et la réponse honnête vaut mieux qu'une promesse : à l'échelon 3 aujourd'hui. Mon cabinet tourne sur des outils que j'ai construits moi-même, hébergés sur un serveur que je suis seul à administrer. Et je migre progressivement vers l'échelon 4 — le 100 % local — parce que c'est ce que je recommande aux structures dont les données l'exigent, et que je refuse de recommander un chemin que je n'ai pas fait moi-même. Chaque étape de cette migration sera documentée sur ce site, coûts et mesures à l'appui.
Méfiez-vous de quiconque se déclare « souverain » sans pouvoir répondre à la question de cet article en une phrase : où vont exactement mes données, et qui détient la machine ?
À quel échelon êtes-vous — et lequel vous faut-il ?
Répondre sérieusement demande de regarder vos données, vos usages et votre budget — pas de réciter un dogme. C'est exactement ce que fait un audit.
En parler avec GregQuestions fréquentes
Le cloud « souverain » est-il conforme au RGPD ?
Souvent mieux que le SaaS américain, oui : hébergement dans l'Union européenne, prestataire soumis au droit européen. Mais conformité ne veut pas dire confidentialité absolue : vos données restent chez un tiers, traitées par ses équipes, sous ses conditions. Pour des données couvertes par le secret professionnel, la question à poser n'est pas « est-ce conforme ? » mais « qui peut techniquement y accéder ? ».
Un serveur dans mon bureau compte-t-il comme du 100 % local ?
Oui, à une condition : que les modèles d'IA tournent réellement dessus. Une machine dans vos murs qui envoie les documents à une API cloud pour traitement n'est pas du 100 % local — c'est l'échelon 1 ou 2 déguisé. Le test simple : coupez l'accès Internet ; si l'IA répond encore, vous êtes à l'échelon 4.
Peut-on combiner plusieurs échelons ?
Oui, et c'est souvent le bon réglage : le cloud pour ce qui n'est pas confidentiel (veille, brouillons génériques, recherche), le local pour tout ce qui touche aux dossiers clients. L'important est de cadrer explicitement ce qui a le droit d'aller où — c'est précisément l'objet d'un audit.
Le 100 % local est-il toujours le meilleur choix ?
Non. C'est le meilleur choix quand vos données l'exigent ou que la dépendance au cloud devient un risque réel. Pour une activité sans données sensibles et à faible volume documentaire, un échelon intermédiaire — voire un simple abonnement cloud — peut suffire. Le 100 % local est une destination, pas un dogme : on n'installe que l'IA nécessaire.